Reglamento Europeo de IA tras el Ómnibus: qué obligaciones y sanciones ya son exigibles en agosto de 2026
El AI Act no está aplazado: el Ómnibus simplifica y difiere aspectos concretos, pero no ha creado una moratoria general
(Imagen: Pablo Sáez)
Reglamento Europeo de IA tras el Ómnibus: qué obligaciones y sanciones ya son exigibles en agosto de 2026
El AI Act no está aplazado: el Ómnibus simplifica y difiere aspectos concretos, pero no ha creado una moratoria general
(Imagen: Pablo Sáez)
El verano de 2026 ha provocado una de las mayores confusiones interpretativas desde la aprobación del Reglamento Europeo de Inteligencia Artificial. La entrada en vigor del Ómnibus Digital sobre IA el 27 de julio y la fecha general de aplicación del RIA el 2 de agosto se han presentado, en ocasiones, como si Europa hubiera aplazado el AI Act. No es así. El Ómnibus modifica, simplifica y difiere obligaciones concretas, especialmente las de alto riesgo, pero una parte sustancial del Reglamento ya es Derecho aplicable. A 10 de agosto de 2026, prohibiciones, alfabetización, modelos de IA de uso general y transparencia exigen actuaciones concretas.
El Ómnibus ha cambiado el calendario del alto riesgo, pero no ha suspendido el Reglamento de IA
Dos fechas separadas por 6 días y una confusión que conviene terminar
El primer paso para entender el calendario consiste en separar dos conceptos que en el debate público se mezclan constantemente: entrada en vigor y aplicación. El Reglamento (UE) 2024/1689, conocido como Reglamento Europeo de Inteligencia Artificial, AI Act o RIA, entró en vigor el 1 de agosto de 2024. Sin embargo, el legislador europeo diseñó una aplicación escalonada. Algunas disposiciones empezaron a aplicarse el 2 de febrero de 2025; otras, el 2 de agosto de 2025; y el 2 de agosto de 2026 quedó fijado como fecha general de aplicación.
Por eso, el 2 de agosto de 2026 no fue la entrada en vigor del RIA, sino su fecha general de aplicación. Para entonces, una parte relevante del Reglamento llevaba meses o incluso año y medio produciendo efectos. La segunda fecha decisiva llegó apenas seis días antes: el Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA, se publicó en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y entró en vigor el 27 de julio.
La finalidad del Ómnibus tampoco es derogar el modelo europeo. Su propio preámbulo explica que pretende facilitar y aclarar la aplicación, reducir duplicidades y cargas innecesarias y mejorar la proporcionalidad sin reducir el nivel de protección de la salud, la seguridad y los derechos fundamentales. Por tanto, afirmar que “Europa ha aplazado el AI Act” es tan inexacto como decir que nada ha cambiado. Sí ha habido cambios importantes, pero son selectivos.
Suscríbete a nuestra
NEWSLETTER
El 2 de agosto de 2026 no fue la entrada en vigor del RIA, sino su fecha general de aplicación
La regla útil es otra: hay que preguntar qué artículo, qué operador, qué sistema, cuándo fue introducido en el mercado o puesto en servicio y qué fecha de aplicación le corresponde. El Ómnibus ha cambiado el calendario del alto riesgo, pero no ha suspendido el Reglamento de IA.
(Imagen: Pablo Sáez)
Qué obligaciones ya eran exigibles antes de agosto de 2026
La primera gran activación tuvo lugar el 2 de febrero de 2025. Desde esa fecha son aplicables los capítulos I y II del RIA. Ahí se sitúan el núcleo original de las prácticas prohibidas del artículo 5 y la obligación de alfabetización en materia de IA del artículo 4. El Ómnibus ha reformulado este último precepto y ha añadido nuevas prohibiciones, pero no ha borrado la primera fecha.
| Bloque | Fecha | Situación a 10/08/2026 |
| Art. 4 – alfabetización | 02/02/2025 | Exigible; reformulado por el Ómnibus desde 27/07/2026 |
| Art. 5 – prohibiciones originales | 02/02/2025 | Exigibles |
| GPAI introducidos desde 02/08/2025 | 02/08/2025 | Obligaciones aplicables |
| Art. 101 – sanciones GPAI | 02/08/2026 | Aplicable |
| Art. 50 – transparencia | 02/08/2026 | Aplicable, con transición limitada en el art. 50.2 |
| Nuevas prohibiciones art. 5 | 02/12/2026 | Pendientes hasta esa fecha |
| Alto riesgo – art. 6.2 / anexo III | 02/12/2027 | Diferido por el Ómnibus |
| Alto riesgo – art. 6.1 / anexo I | 02/08/2028 | Diferido por el Ómnibus |
| GPAI anteriores a 02/08/2025 | 02/08/2027 | Régimen transitorio específico |
El artículo 4 sigue siendo obligatorio, aunque el Ómnibus lo haya reformulado
El artículo 4 es el mejor ejemplo de por qué simplificar no significa suspender. La redacción original obligaba a proveedores y responsables del despliegue a adoptar medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en materia de IA. El Ómnibus sustituye esa formulación por una obligación más proporcional: deben adoptar medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y de las personas que operen o utilicen sistemas de IA en su nombre.
La nueva redacción obliga a tener en cuenta los conocimientos técnicos, la experiencia, la educación, la formación, el contexto de uso y las personas o colectivos sobre los que se utilizará el sistema. Al mismo tiempo, aclara que no se exige garantizar un nivel específico de alfabetización en cada persona. Es una flexibilización en la forma de cumplir, no una desaparición del deber.
También conviene separar esta obligación de la banda sancionadora del artículo 99.4.g). Esa letra se refiere específicamente al incumplimiento de las obligaciones de transparencia del artículo 50, no al artículo 4. El artículo 99.1 exige a los Estados miembros establecer un régimen de sanciones y otras medidas de garantía del cumplimiento para las infracciones del Reglamento, pero la concreción nacional de la respuesta sancionadora exige analizar el marco interno aplicable.
(Imagen: Pablo Sáez)
Las 8 prohibiciones originales siguen plenamente activas
El aplazamiento del alto riesgo tampoco afecta al núcleo original del artículo 5. Desde el 2 de febrero de 2025 siguen prohibidas, entre otras, determinadas técnicas subliminales o manipuladoras; la explotación de vulnerabilidades; ciertas formas de puntuación social y predicción individual del riesgo delictivo; la extracción no selectiva de imágenes para bases de reconocimiento facial; determinados reconocimientos de emociones en trabajo y educación; categorizaciones biométricas sensibles; y determinados usos policiales de identificación biométrica remota “en tiempo real” fuera de los supuestos tasados.
El régimen sancionador refleja la gravedad de este bloque. El artículo 99.3 establece multas administrativas de hasta 35 millones de euros o, si el infractor es una empresa, hasta el 7% de su volumen de negocios mundial total del ejercicio financiero anterior, cuando ese porcentaje resulte superior. Para las pymes se aplican reglas específicas que permiten tomar el menor de los límites correspondientes.
El Ómnibus añade nuevas prohibiciones relacionadas con determinado material íntimo no consentido y material de abuso sexual de menores, pero el legislador ha fijado para esas nuevas disposiciones la fecha de 2 de diciembre de 2026. Hasta entonces pueden resultar aplicables otras normas penales, civiles, de protección de datos o de derechos fundamentales, pero la nueva prohibición específica del RIA tiene su propio calendario.
(Imagen: Pablo Sáez)
Los modelos de IA de uso general tampoco esperaron a 2026
El artículo 53 obliga a los proveedores, entre otras cuestiones, a mantener documentación técnica; facilitar información a quienes integren el modelo en sistemas posteriores; establecer una política de cumplimiento del Derecho de autor y de las reservas de derechos; y publicar un resumen suficientemente detallado del contenido utilizado para el entrenamiento. Los proveedores establecidos en terceros países deben designar representante autorizado cuando corresponda.
Los modelos de uso general con riesgo sistémico soportan obligaciones adicionales: evaluación del modelo, pruebas de simulación de adversarios, evaluación y mitigación de riesgos sistémicos, vigilancia y comunicación de incidentes graves y protección adecuada de la ciberseguridad del modelo y de su infraestructura. Son obligaciones distintas de las que recaen sobre un sistema de IA de alto riesgo integrado en un caso de uso concreto.
Existe, además, una transición relevante: los proveedores de modelos de IA de uso general que hubieran sido introducidos en el mercado antes del 2 de agosto de 2025 disponen hasta el 2 de agosto de 2027 para adoptar las medidas necesarias de cumplimiento. Y desde el 2 de agosto de 2026 resulta aplicable el artículo 101, que permite a la Comisión imponer a proveedores de GPAI multas de hasta 15 millones de euros o el 3% de su volumen de negocios mundial anual, en los supuestos y condiciones previstos por el Reglamento.
El artículo 50 ya obliga a informar en determinadas interacciones y a revelar determinados contenidos artificiales
El 2 de agosto de 2026 encendió la transparencia del artículo 50
Para miles de organizaciones europeas, la novedad operativa más inmediata de agosto de 2026 está en el artículo 50. La Comisión Europea publicó el 20 de julio de 2026 sus Directrices sobre las obligaciones de transparencia y confirmó que estas obligaciones comienzan a aplicarse el 2 de agosto de 2026.
El apartado 1 obliga a los proveedores a diseñar y desarrollar los sistemas destinados a interactuar directamente con personas físicas de forma que estas sepan que están interactuando con un sistema de IA, salvo cuando resulte evidente para una persona razonablemente informada, atenta y perspicaz atendiendo a las circunstancias y al contexto. Esto alcanza, según el caso, a chatbots, asistentes conversacionales, agentes de voz y otras interfaces humano-máquina.
La obligación no se satisface necesariamente escondiendo la información en unas condiciones generales. El apartado 5 exige que la información de los apartados 1 a 4 se facilite de manera clara y distinguible, a más tardar con ocasión de la primera interacción o exposición, y respetando los requisitos de accesibilidad aplicables. El artículo 50 ya obliga a informar en determinadas interacciones y a revelar determinados contenidos artificiales.
El apartado 3 impone a los responsables del despliegue de sistemas de reconocimiento de emociones o de categorización biométrica el deber de informar a las personas expuestas y recuerda que el tratamiento de datos personales debe seguir respetando el RGPD y el resto del Derecho de protección de datos. El RIA añade obligaciones, pero no sustituye el marco de privacidad.
El apartado 4 exige a los responsables del despliegue revelar la naturaleza artificial de imágenes, audios o vídeos que constituyan ultrasuplantaciones o deepfakes, con adaptaciones para obras creativas, satíricas, artísticas o de ficción. También alcanza a determinados textos generados o manipulados mediante IA destinados a informar al público sobre asuntos de interés público, salvo, entre otros supuestos, cuando exista revisión humana o control editorial y una persona física o jurídica asuma la responsabilidad editorial.
(Imagen: Pablo Sáez)
El 2 de diciembre no es una moratoria general del artículo 50
La confusión más repetida se refiere al apartado 2. Este exige que los proveedores de sistemas que generen contenido sintético de audio, imagen, vídeo o texto aseguren que los resultados estén marcados en un formato legible por máquina y sean detectables como generados o manipulados artificialmente. Las soluciones deben ser eficaces, interoperables, sólidas y fiables en la medida técnicamente viable.
El Ómnibus no desplaza esta obligación de forma general a diciembre. Introduce una transición concreta para los sistemas ya introducidos en el mercado antes del 2 de agosto de 2026: sus proveedores disponen hasta el 2 de diciembre de 2026 para cumplir el artículo 50.2. La Comisión confirma que el período de gracia se limita a esos sistemas preexistentes y a la obligación de marcado y detección del apartado 2.
Por tanto, el 2 de diciembre de 2026 no es una moratoria general del artículo 50. Los apartados 1, 3, 4 y 5 ya resultan aplicables desde el 2 de agosto; y el apartado 2 también lo es para los sistemas que no quedan cubiertos por esa transición. La Comisión añade que el contenido generado antes del 2 de agosto de 2026 no debe etiquetarse retroactivamente, aunque anima a hacerlo cuando resulte posible.
El 2 de diciembre de 2026 no es una moratoria general del artículo 50
Lo que el Ómnibus sí ha aplazado de verdad: el núcleo del alto riesgo
Aquí está la parte del relato del “aplazamiento” que sí tiene fundamento. El Reglamento 2026/1744 modifica el artículo 113 y difiere la aplicación de las secciones 1, 2 y 3 del capítulo III, con la excepción prevista para el artículo 6.5. Para los sistemas clasificados como de alto riesgo conforme al artículo 6.2 y el anexo III, la nueva fecha es el 2 de diciembre de 2027. Para los sistemas de alto riesgo del artículo 6.1 vinculados al anexo I, el horizonte pasa al 2 de agosto de 2028.
El cambio es material porque en ese bloque se concentra buena parte de las obligaciones más intensivas: sistema de gestión de riesgos, gobernanza y calidad de datos, documentación técnica, registros, transparencia específica de alto riesgo, supervisión humana, precisión, solidez, ciberseguridad, sistema de gestión de la calidad, evaluación de conformidad y obligaciones específicas de proveedores y responsables del despliegue.
El Ómnibus introduce además mecanismos de simplificación. Para determinados sistemas de alto riesgo vinculados a productos del anexo I, la Comisión podrá limitar requisitos concretos de los artículos 9 a 15 y 17 a 25 cuando la legislación sectorial de armonización proporcione un nivel de protección equivalente o superior y la limitación no reduzca el nivel global de protección. La Comisión deberá concretar esos supuestos mediante actos delegados, como máximo, el 2 de agosto de 2027.
También subsisten reglas transitorias para sistemas ya existentes. Tras la reforma del artículo 111, los sistemas de alto riesgo introducidos antes de la fecha de aplicación del capítulo III quedan sometidos al nuevo régimen, en los términos previstos, cuando desde esa fecha experimenten cambios significativos en su diseño. Los sistemas de alto riesgo destinados a autoridades públicas cuentan además con una regla específica de adecuación hasta el 2 de agosto de 2030.
(Imagen: Pablo Sáez)
Las sanciones tampoco pueden resumirse en “hasta el 3%”
El capítulo XII del RIA utiliza varias bandas. Las prácticas prohibidas del artículo 5 ocupan el escalón máximo: hasta 35 millones de euros o el 7% del volumen de negocios mundial total del ejercicio financiero anterior, cuando el porcentaje resulte superior. El artículo 99.4 fija un segundo escalón de hasta 15 millones de euros o el 3%, que alcanza, entre otras obligaciones, a las de transparencia del artículo 50.
El artículo 99.5 reserva otro nivel para la presentación de información inexacta, incompleta o engañosa a organismos notificados o autoridades nacionales competentes en respuesta a una solicitud: hasta 7,5 millones de euros o el 1% del volumen de negocios mundial total, cuando corresponda. No debe confundirse esta conducta con cualquier afirmación comercial inexacta de una empresa; el supuesto exige el contexto específico previsto por el precepto.
En todos los casos, una multa de hasta el 3% no equivale a una multa automática del 3%. Deben valorarse la naturaleza, gravedad y duración de la infracción; sus consecuencias; el número de afectados; el daño; el tamaño del operador; los beneficios obtenidos o pérdidas evitadas; la cooperación; las medidas técnicas y organizativas; la intencionalidad o negligencia y las medidas de mitigación. Las sanciones deben ser efectivas, proporcionadas y disuasorias.
Una multa de hasta el 3% no equivale a una multa automática del 3%.
España todavía debe cerrar una pieza esencial del engranaje
El calendario europeo convive con el desarrollo institucional español. A fecha de cierre de este artículo, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096) continúa en tramitación en la Comisión de Economía, Comercio y Transformación Digital del Congreso de los Diputados, en fase de enmiendas. El plazo ha sido ampliado hasta el 2 de septiembre de 2026.
El proyecto diseña una supervisión descentralizada, distribuye competencias entre autoridades sectoriales y prevé un papel relevante de la Agencia Española de Supervisión de Inteligencia Artificial, junto con otras autoridades como la Agencia Española de Protección de Datos o el Consejo General del Poder Judicial en ámbitos específicos. También clasifica infracciones y desarrolla el régimen sancionador español dentro de los límites del artículo 99 del RIA.
Pero hay que subrayarlo: es un proyecto de ley, no una ley vigente. Por tanto, no es correcto presentar su distribución de competencias o su tipificación nacional como si ya fueran Derecho positivo definitivo. Tampoco es correcto convertir a la AESIA en una autoridad universal para cualquier infracción: el RIA diseña una arquitectura multinivel y sectorial, y la Comisión conserva competencias directas relevantes, especialmente sobre modelos de IA de uso general.
(Imagen: Pablo Sáez)
Cumplir en 2026 significa poder demostrar
La respuesta empieza por un inventario de sistemas y modelos de IA: nombre, proveedor, versión, finalidad, departamento, usuarios, personas afectadas, fecha de introducción o puesta en servicio, datos tratados, integraciones, decisiones que apoya y rol jurídico de la organización. Sin esa fotografía inicial resulta imposible determinar si existe una prohibición, una obligación de transparencia, un régimen GPAI, una obligación de protección de datos o un futuro escenario de alto riesgo.
Después deben existir evidencias de las medidas adoptadas: formación por roles; política interna de IA; criterios para evitar prácticas prohibidas; avisos del artículo 50; protocolos para biometría, deepfakes y textos de interés público; comprobación del marcado técnico; contratos y responsabilidades con proveedores; registro de versiones y cambios; control humano; gestión de incidentes y documentación de las excepciones invocadas.
Las 16 guías de orientación al cumplimiento del sandbox español siguen siendo un apoyo práctico útil para estructurar riesgos, documentación, registros, supervisión humana, precisión, solidez, ciberseguridad y calidad. Sin embargo, su introducción advierte que no son vinculantes, no sustituyen la normativa y que la versión de 10 de diciembre de 2025 debía actualizarse tras el Ómnibus. Deben utilizarse, por tanto, contrastadas con el Reglamento 2026/1744.
El RGPD tampoco desaparece detrás del RIA. Cuando el diseño, desarrollo o uso de IA implique tratamiento de datos personales, seguirán siendo relevantes los principios de licitud, transparencia, minimización, seguridad, responsabilidad proactiva, protección desde el diseño y, cuando proceda, evaluación de impacto. El propio RIA insiste en que sus obligaciones se aplican sin perjuicio del Derecho de protección de datos.
A este ecosistema se suma la Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos. Incluye expresamente el software dentro del concepto de producto y trata al desarrollador o productor de software, incluidos proveedores de sistemas de IA, como fabricante a estos efectos. Los Estados miembros deben transponerla antes del 9 de diciembre de 2026 y el nuevo régimen se aplicará a productos introducidos o puestos en servicio después de esa fecha. No sustituye al AI Act: añade otra capa de responsabilidad.
Cumplir en 2026 significa poder demostrar, con evidencias, qué sistemas utiliza la organización y por qué cumple. Una política genérica de IA no basta si no está conectada con los sistemas reales y las obligaciones de cada caso.
El Reglamento de IA no está en pausa
La desmitificación definitiva puede resumirse en una idea. El Ómnibus Digital sobre IA ha cambiado el Reglamento Europeo de Inteligencia Artificial, pero no lo ha suspendido. Ha reformulado la alfabetización, ha creado simplificaciones y mecanismos de proporcionalidad, ha añadido nuevas prohibiciones, ha diferido el núcleo de alto riesgo y ha establecido una transición limitada para el marcado técnico del artículo 50.2 en determinados sistemas preexistentes.
Pero, a 10 de agosto de 2026, no estamos ante un Reglamento esperando a empezar. La alfabetización sigue siendo una obligación. Las ocho prohibiciones originales siguen activas. El régimen de los nuevos modelos de IA de uso general lleva un año aplicándose. El artículo 101 ya ha llegado a su fecha de aplicación. El artículo 50 exige transparencia en las interacciones con IA, en determinados usos biométricos, en ultrasuplantaciones y en determinados textos de interés público, y el marcado técnico del contenido sintético ya rige salvo la transición expresamente prevista.
La pregunta correcta ya no es “¿cuándo entra en vigor el AI Act?”. Entró en vigor hace dos años. La pregunta es: “¿qué obligaciones me resultan aplicables hoy, cuáles se activarán después y qué puedo enseñar mañana a una autoridad para demostrar que las estoy cumpliendo?”. Esa es la frontera real que deja el Ómnibus. El Reglamento Europeo de Inteligencia Artificial no está aplazado: ha entrado definitivamente en su etapa de cumplimiento operativo.
Cumplir en 2026 significa poder demostrar, con evidencias, qué sistemas utiliza la organización y por qué cumple
Cuadro de legislación y fuentes oficiales
- Reglamento (UE) 2024/1689, Reglamento de Inteligencia Artificial (RIA/ AI Act). Fuente oficial
- Reglamento (UE) 2026/1744, Ómnibus Digital sobre IA. Fuente oficial
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (RGPD). Fuente oficial
- Directiva (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuosos. Fuente oficial
- Comisión Europea, Directrices sobre las obligaciones de transparencia del artículo 50, 20 de julio de 2026. Fuente oficial
- Comisión Europea, Preguntas y respuestas sobre las obligaciones de transparencia del artículo 50. Fuente oficial
- Congreso de los Diputados, Proyecto de Ley Orgánica 121/000096: situación de tramitación y plazo de enmiendas. Fuente oficial
Guías de apoyo: recopilación de las 16 guías de orientación al cumplimiento elaboradas en el marco del sandbox regulatorio español (versión 10 de diciembre de 2025). Son materiales no vinculantes y anteriores a la aprobación definitiva del Ómnibus 2026/1744.
Cuadro de jurisprudencia
No se incorpora jurisprudencia específica: el objeto de la pieza es el calendario normativo y la aplicación de obligaciones introducidas o modificadas en 2026, respecto de las cuales no existe todavía una línea jurisprudencial consolidada que deba utilizarse para sostener las conclusiones del artículo.
